안전한 비밀번호 만드는 법｜길이·문자 종류의 원리와 관리 요령

강도를 결정하는 것은 문자 종류보다 “길이”

무차별 대입 공격에서 시도해야 하는 조합 수는 “문자 종류 수의 글자 수 제곱”입니다. 문자 종류를 늘리면 밑이 커지고, 길이를 늘리면 지수가 커집니다. 핵심은 지수 쪽의 효과가 압도적으로 크다는 점입니다.

표를 가로로 보면 8자에서 12자로 늘리기만 해도 조합 수가 7자릿수 정도 늘어납니다. 반면 세로로 본 “특수문자 추가” 효과는 2자릿수 정도입니다. 특수문자를 넣어 외우기 어렵게 만드는 것보다 4자를 늘리는 편이 훨씬 효율적입니다.

피해야 할 비밀번호 만드는 방식

공격자는 완전히 무작위인 대입만 하지 않습니다. 사람들이 자주 쓰는 패턴을 먼저 시도하므로, 다음과 같은 방식은 길이에 비해 약해집니다.

• 사전에 있는 단어를 그대로 쓰기(Password, baseball 등)
• 글자를 기호로 바꾸기만 한 변형(p@ssw0rd 등). 이런 치환 규칙은 이미 공격 도구에 들어 있습니다
• 생일, 전화번호, 회사명, 반려동물 이름 등 SNS에서 추측할 수 있는 정보
• 키보드 배열(qwerty, 1qaz2wsx 등)
• 같은 기본 비밀번호 뒤에 서비스 이름만 붙인 재사용(기본 + amazon, + google 등)
• 끝의 숫자만 바꾸는 정기 변경(Spring2025! → Summer2025!)

특히 위험한 것은 마지막 두 가지, 즉 “재사용”입니다. 한 서비스에서 유출된 비밀번호를 다른 서비스에 차례로 시도하는 공격(크리덴셜 스터핑)이 실제로 일어나고 있습니다. 비밀번호 자체가 아무리 강해도 재사용하면 한 곳의 유출로 연쇄적으로 뚫립니다.

용도별 추천 설정

“특수문자 사용 불가”, “최대 16자” 같은 제한은 지금도 흔합니다. 문자 종류가 제한될 때는 허용되는 범위에서 길이를 최대로 하는 것이 기본 원칙입니다.

직접 생각하지 말고 생성하기

사람이 생각한 비밀번호는 본인이 생각하는 만큼 무작위가 아닙니다. 모음과 자음을 번갈아 놓거나 외우기 쉬운 말로 만드는 등 무의식적인 습관이 들어가기 때문입니다. 강도를 확보하려면 생성 도구에 맡기고 기억은 관리 앱에 맡기는 것이 현실적입니다.

1. 1

   용도에 맞는 프리셋을 고른다

   “강력”, “영숫자”, “PIN”, “HEX” 등 가입할 사이트의 사양에 맞는 것을 고릅니다. 특수문자를 허용하지 않는 사이트라면 영숫자 프리셋이 확실합니다.

2. 2

   길이를 조정한다

   사이트의 상한까지 늘리는 것이 기본입니다. 상한이 없으면 16~20자를 기준으로 합니다.

3. 3

   후보를 여러 개 생성해 하나를 고른다

   여러 후보 중에서 고르면 헷갈리기 쉬운 문자(I, l, 1, O, 0)가 적은 것을 고를 수 있습니다.

4. 4

   비밀번호 관리 앱에 저장한다

   생성한 직후에 저장하는 것이 철칙입니다. 브라우저 내장 저장 기능이든 전용 관리 앱이든 괜찮습니다. “나중에 외우지”는 실패합니다.

만든 뒤의 관리와 2단계 인증

강한 비밀번호를 만들어도 관리 방법이 약하면 의미가 없습니다. 운영 면에서는 다음 3가지만 지키면 충분합니다.

• 서비스마다 다른 비밀번호를 쓴다. 이것이 가장 효과가 큰 대책입니다
• 비밀번호 관리 앱을 쓰고 마스터 비밀번호만 기억한다
• 중요한 계정에는 2단계 인증(인증 앱 또는 패스키)을 설정한다

“정기적인 변경”은 한때 널리 권장되었지만, 지금은 주요 가이드라인에서도 적극적으로 권장하지 않습니다. 정기 변경을 강제하면 끝의 숫자만 바꾸는 약한 패턴으로 흐르기 쉽기 때문입니다. 변경이 필요한 때는 유출 징후가 있을 때와, 재사용하던 비밀번호를 정리할 때입니다.

자주 묻는 질문

비밀번호는 몇 자로 하면 좋나요?

일반 서비스는 12자 이상, 이메일·클라우드 저장소·금융 등 중요한 계정은 16자 이상을 기준으로 하세요. 특수문자를 쓸 수 없는 사이트에서는 그만큼 길이를 늘려 보완합니다.

특수문자를 섞으면 짧아도 괜찮나요?

권장하지 않습니다. 특수문자를 더해 문자 종류를 62종에서 94종으로 늘리는 효과는 조합 수로 2자릿수 정도입니다. 반면 8자를 12자로 늘리면 7자릿수 정도 늘어납니다. 길이를 우선하는 편이 효율적입니다.

비밀번호를 정기적으로 바꿔야 하나요?

유출 징후가 없다면 정기 변경은 필수가 아닙니다. 강제적인 정기 변경은 오히려 단순한 패턴을 부르기 때문에 지금은 주요 가이드라인에서도 권장하지 않습니다. 그보다 재사용을 멈추는 것이 더 중요합니다.

생성한 비밀번호는 어떻게 저장하면 되나요?

비밀번호 관리 앱이나 브라우저의 저장 기능에 등록하는 것이 현실적입니다. 생성한 직후에 저장하고, 종이나 텍스트 파일에 평문으로 남기지 마세요.